必须支持 Same Origin Policy (SOP)
必须支持 Content Security Policy (CSP) 2.0
必须支持子资源完整性（SRI）
必须支持自动更新
必须为关键的浏览器组件和扩展支持单独的更新机制
必须对浏览器更新进行签名和验证
浏览器的密码管理器必须以加密形式存储密码
必须仅在用户输入主密码之后允许访问浏览器的内置密码库
用户必须能够从浏览器的密码管理器中删除密码
用户必须能够阻止或删除 cookie 文件
用户必须能够阻止或删除自动完成历史记录
用户必须能够阻止或删除浏览历史记录
组织管理员必须能够配置或阻止浏览器发送遥测/使用数据
浏览器必须支持一种机制来检查有害内容/URL
浏览器应允许组织运行本地存储的 URL 黑名单
必须支持一些设置，用户可以在其中启用/禁用插件、扩展或脚本
浏览器必须能够导入集中创建的配置设置，非常适合大规模企业部署
必须允许管理员禁用基于云的配置文件同步功能
必须在初始化后以最小的操作系统权限运行在操作系统中
必须支持沙箱
所有浏览器组件必须彼此隔离没有附件管理器，并且与操作系统隔离。隔离组件之间的通信只能通过定义的接口进行，不能直接访问隔离组件的资源
网页需要彼此隔离，最好以独立进程的形式，还要允许线程级隔离
必须使用支持堆栈和堆内存保护的编程语言对浏览器进行编码
浏览器供应商必须在公开披露安全漏洞后不超过 21 天提供安全更新。如果主浏览器供应商未能提供安全更新，则组织必须移至新的浏览器
浏览器必须使用 OS 内存保护没有附件管理器，例如地址空间布局随机化（ASLR）或数据执行保护（DEP）
组织管理员必须能够管理或阻止未经批准的附件/扩展的安装
根据 BSI 的说法，Firefox 是唯一支持以上所有要求的浏览器，其它浏览器测试不通过的原因包括：
缺少对主密码机制的支持（Chrome、IE、Edge）
没有内置的更新机制（IE）
没有阻止遥测收集的选项（Chrome、IE、Edge）
不支持 SOP（IE）
不支持 CSP（IE）
不支持 SRI（IE）
不支持浏览器配置文件/不同的配置（IE、Edge）
缺乏组织透明度（Chrome、IE、Edge）